[发明专利]基于随机性特征的加密和压缩流量识别方法及装置

权利要求书

1.一种基于随机性特征的加密和压缩流量识别方法，其特征在于，包括：

步骤1：对网络数据进行采集，并解析得到流量数据；

步骤2：计算并得到流量数据的随机性特征ECF特征向量；所述ECF特征向量包括：卡方、Renyi交叉熵、单比特频数、块内频数、游程、最大游程、傅里叶变换、非重叠匹配、序列化和累加和；

步骤3：以ECF特征向量为输入，通过机器学习模型进行识别，识别结果包括加密流量和压缩流量。

2.根据权利要求1所述的基于随机性特征的加密和压缩流量识别方法，其特征在于，所述步骤1包括：

步骤1.1：从外部网络中获取数据包，并保存为pcap文件；

步骤1.2：按照五元组将获取的数据包划分成网络流，并保存为flow文件；

步骤1.3：对每个flow文件，按照TCP/IP协议格式进行解析，获取数据载荷部分，并按照数据包获取的先后顺序拼接为一个不定长的流量数据。

3.根据权利要求1所述的基于随机性特征的加密和压缩流量识别方法，其特征在于，所述步骤2包括：

步骤2.1：以字节为统计单位，获取流量数据的长度Len；

步骤2.2：计算获取流量数据的ECF特征向量。

4.根据权利要求1所述的基于随机性特征的加密和压缩流量识别方法，其特征在于，在所述步骤3之前还包括：

基于ECF特征向量构建机器学习模型；所述机器学习模型所包含的机器学习算法包括随机森林、Xgboost和MLP。

5.根据权利要求3所述的基于随机性特征的加密和压缩流量识别方法，其特征在于，所述步骤3包括：

步骤3.1：根据流量数据的长度Len和期望的测试精度，选择已经训练好的的机器学习模型进行识别；

步骤3.2：将流量数据的ECF特征向量，输入机器学习模型得到识别结果，识别结果包括加密流量和压缩流量。

6.一种基于随机性特征的加密和压缩流量识别装置，其特征在于，包括：

采集解析模块，用于对网络数据进行采集，并解析得到流量数据；

特征提取模块，用于计算并得到流量数据的随机性特征ECF特征向量；所述ECF特征向量包括：卡方、Renyi交叉熵、单比特频数、块内频数、游程、最大游程、傅里叶变换、非重叠匹配、序列化和累加和；

流量识别模块，用于以ECF特征向量为输入，通过机器学习模型进行识别，识别结果包括加密流量和压缩流量。

7.根据权利要求6所述的基于随机性特征的加密和压缩流量识别装置，其特征在于，所述采集解析模块包括：

数据包获取子模块，用于从外部网络中获取数据包，并保存为pcap文件；

网络流划分子模块，用于按照五元组将获取的数据包划分成网络流，并保存为flow文件；

解析子模块，用于对每个flow文件，按照TCP/IP协议格式进行解析，获取数据载荷部分，并按照数据包获取的先后顺序拼接为一个不定长的流量数据。

8.根据权利要求6所述的基于随机性特征的加密和压缩流量识别装置，其特征在于，所述特征提取模块包括：

流量数据长度获取子模块，用于以字节为统计单位，获取流量数据的长度Len；

特征提取子模块，用于计算获取流量数据的ECF特征向量。

9.根据权利要求6所述的基于随机性特征的加密和压缩流量识别装置，其特征在于，还包括：

流量识别模型构建模块，用于基于ECF特征向量构建机器学习模型；所述机器学习模型所包含的机器学习算法包括随机森林、Xgboost和MLP。

10.根据权利要求6所述的基于随机性特征的加密和压缩流量识别装置，其特征在于，所述流量识别模块包括：

模型选择子模块，用于根据流量数据的长度Len和期望的测试精度，选择已经训练好的的机器学习模型进行识别；

流量识别子模块，用于将流量数据的ECF特征向量，输入机器学习模型得到识别结果，识别结果包括加密流量和压缩流量。